计算机世界网消息 最近发生的一连串对开放源代码软件服务器的攻击促使开放源代码软件开发人员开始考虑他们自己的安全了。

　　负责GentooLinuxProject代码发布系统的团队成员科里说，我们的担心是，如果有人是恶意的，他们可能改变恶意的核心软件，用户就只能使用坏软件。

　　尽管开放源代码模式已经导致开发与微软公司的Windows相竞争的操作系统方面取得了极大进展━━这也是黑客长期以来的目标，但它现在似乎也成为了黑客的目标。由于非常普及，黑客瞄准了Linux操作系统和其它的开放源代码应用软件。甚至是自信已经对其开发系统采取了充分安全措施的开发人员也在战战惊惊地审视着这股潮流。SambaProject的联合创始人杰里米表示，我们都希望自己不会成为下一次攻击的目标，同时希望自己能够比坏蛋们领先一步。

　　12月1日，对GentooLinux的攻击攻破了其105台服务器的一台，这次攻击没有威胁到主源代码数据库。该服务器上的安全软件迅速发现了这次攻击，并详细记录了其活动情况。11月份，Linux内核服务器也受到了相似的攻击。黑客利用一名开发者的计算机向副服务器提交了代码，该代码能够被后来的攻击者访问已经安装了这一代码的任何系统，这一攻击也在24小时内被发现。

　　其它的攻击则要严重得多。黑客获得了对GNUProject开发系统的访问权限，在另一次攻击事件中，黑客攻破了用于管理开发和社区活动的DebianProject的4台服务器。二次攻击的过程是相似的：黑客首先获得合法用户的注册名和密码，然后利用最近被发现的Linux内核中的一处缺陷来获得系统所有者的权限。在能够确保系统的安全前，Debian和GNUProject的负责人已经关闭了系统。

　　负责维护GNUProject的自由软件基金会的首席律师莫格伦表示，在Savannah事件后，我们将采取一些措施，其中包括让开发人员在提交的代码上采用数字化签名，并在接受代码前检查开发人员的数字签名。莫格伦指出，我们相信，数字签名的引入是最有力的确保代码完整性的技术性措施。

　　微软公司的开发系统也没有能够躲过黑客的光顾。例如，2000年10月份，黑客控制了一名开发人员的计算机，获得了对微软公司网络的访问权限。此后，微软公司启动了“可信赖计算”计划，确保其软件和开发过程的安全。

　　开发人员迅速指出，尽管黑客对开放源代码软件的攻击使得他们能够访问一些计算机，但由于开放项目对安全十分重视，他们并没有对开发过程构成重大影响。莱纳斯很早就考虑到了服务器的安全问题，在芬兰的哈尔辛基大学，他在一台内部网络能够随意访问的计算机上维护着Linux内核的早期版本。目前，Linux内核服务器受到了防火墙、SSH、密码签名等多重保护，以确保其完整性。

　　BitMover公司的创始人拉里表示，各个开发项目必须使用这样的签名技术，确保源代码不会被任意改变。DebianProject、GentooLinux和SambaProject已经使用校验技术验证在攻击期间源代码是否被改变。MandrakeSoft的联合创始人杜瓦尔表示，这样的技术能够消除维护一个项目的担心。他说，安全问题和解决方案都是全新的，系统管理员和用户应当认真地考虑安全问题。

　　业界分析人士称，开放源代码开发模式的其它特性也有助于消除对安全的顾虑，这种开发模式的分散性意味着其它的源代码仓库也可以用来验证主服务器上源代码的完整性。莱纳斯表示，即使是内核开发的主服务器被攻破了，开放源代码开发模式还有其它验证手段。他指出，与简单的错误相比，恶意的攻击者带来的烦恼要少得多。他说，我对普通的缺陷更担心。

　　刘彦青 编译